GDPR kapsamında biyometrik veriler: Hollanda'da ne zaman kullanılabilir?

Parmak izi, yüz görüntüleri veya ses kalıpları gibi biyometrik veriler, bir kişiyi benzersiz bir şekilde tanımlamak için işlendiğinde GDPR kapsamında özel bir kişisel veri kategorisi oluşturur. Hollanda'da bu tür işlemler prensipte yasaktır; başlıca istisna, kimlik doğrulama veya güvenlik amaçları için gerekli olduğu durumlardır ve çalışanlar için bu test, zaman saati veya ofis kapısı ile nadiren karşılanır.

Hollanda Veri Koruma Kurumu (Autoriteit Persoonsgegevens, AP) bu kuralları sıkı bir şekilde uygulamakta ve geçerli bir dayanak olmaksızın biyometrik verileri kullanan işverenlere ve teknoloji şirketlerine para cezası vermektedir. Aşağıda, biyometrik veri olarak neyin sayıldığını, hangi yasal dayanakların mevcut olduğunu, ne zaman veri koruma etki değerlendirmesine ihtiyaç duyulduğunu, hangi güvenlik önlemlerinin beklendiğini ve bir sorun yaşanması durumunda ne yapılması gerektiğini açıklıyoruz.

GDPR kapsamında biyometrik veri nedir?

Biyometrik veriler, bir kişinin fiziksel, fizyolojik veya davranışsal özelliklerinin belirli teknik işlemlerden geçirilmesi sonucu elde edilen ve o kişinin benzersiz bir şekilde tanımlanmasını sağlayan veya doğrulayan kişisel verilerdir. Görüntü veya kayıt türü değil, amaç ve teknik belirleyicidir.

Bu tanım , Genel Veri Koruma Yönetmeliği'nin (GDPR) 4(14) maddesinde yer almaktadır . Bir çalışanın kimlik kartındaki fotoğrafı kişisel veridir, ancak otomatik olarak biyometrik veri değildir. Aynı fotoğraf bir yüz şablonuna dönüştürüldüğü ve bir binaya giriş izni vermek için bir tanıma sistemi tarafından kullanıldığı anda biyometrik veri haline gelir. Bu değişim, yasal çerçeveyi tamamen değiştirir.

Biyometrik tanımlayıcılara örnek olarak parmak izleri, yüz geometrisi, iris ve retina desenleri, ses kalıpları ve yazma ritmi veya yürüme şekli gibi davranışsal özellikler verilebilir. Bunların ortak noktası, belirli bir bireyi tanımak için kullanılmalarıdır.

GDPR neden biyometrik verilere farklı davranıyor?

GDPR'nin 9. maddesi uyarınca, bir kişiyi benzersiz bir şekilde tanımlama amacıyla işlenen biyometrik veriler, özel kişisel veri kategorilerine girer. Aynı kategoriye ırk veya etnik köken, siyasi görüşler, dini inançlar, sağlık ve cinsel yaşamla ilgili veriler de dahildir.

Bunun nedeni, kötüye kullanımın sonuçlarının ciddi ve çoğu zaman geri döndürülemez olmasıdır. Bir parola değiştirilebilir; parmak izi veya iris değiştirilemez. Biyometrik şablonlardan oluşan bir veritabanı tehlikeye girerse, ilgili kişiler kalıcı bir kimlik sahtekarlığı riskiyle karşı karşıya kalır.

Hollandalıların yaklaşımı ne kadar katı?

AP bu kuralları katı bir şekilde yorumluyor. Başlangıç ​​noktası, biyometrik kimlik tespitinin yasak olduğu ve istisnaların sınırlı olduğu yönündedir.

Hollanda Genel Veri Koruma Yönetmeliği (GDPR) Uygulama Yasası (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) ulusal bir istisna ekliyor. UAVG'nin 29. maddesine göre, biyometrik veriler, kimlik doğrulama veya güvenlik amaçları için gerekli olması durumunda benzersiz tanımlama için işlenebilir. "Gerekli" kelimesi burada kilit noktadır. Bu, amacın rozet, kod veya anahtar gibi daha az müdahaleci yöntemlerle makul bir şekilde elde edilemeyeceği anlamına gelir. AP, kılavuzunda, mağazalar gibi halka açık yerlerde yüz tanıma işleminin prensipte yasak olduğunu açıkça belirtmiştir.

Hangi hukuki dayanağa ihtiyacınız var?

İki şeye ihtiyacınız var: GDPR Madde 6 uyarınca işleme için yasal bir dayanak ve GDPR Madde 9(2) veya UAVG Madde 29 uyarınca özel kategorilere ilişkin yasağı kaldırmak için bir istisna. İkisi olmadan, işleme hukuka aykırıdır.

GDPR'nin 6. maddesi altı yasal dayanağı sıralar: rıza, sözleşmenin yerine getirilmesi, yasal yükümlülük, hayati çıkarlar, kamu yararına bir görev ve meşru çıkarlar. Bu ilk engeldir ve tüm kişisel veriler için geçerlidir.

Biyometrik veriler özel bir kategori olduğundan, GDPR Madde 9(2)'deki koşullardan birini veya UAVG Madde 29'daki Hollanda istisnasını karşılamanız gerekir. Yasaklama kaldırılabilecek tek yollar bunlardır. Başlamadan önce, örneğin tarama sisteminin tedarikçisi gibi, veri sorumlusunun ve veri işleyicisinin kim olduğunu da belirleyin. GDPR kapsamında veri sorumlusu ve veri işleyicisinin rolleri hakkındaki makalemiz , aradaki farkı ve ihtiyacınız olan işleme sözleşmesini açıklamaktadır.

Açık rıza ne zaman geçerlidir?

Açık rıza, sıradan rızadan daha yüksek bir standarttır. Net, olumlu bir ifadeyle verilmeli ve belirli, bilgilendirilmiş, açık ve özgürce verilmiş olmalıdır.

• Özel: Sadece "güvenlik amaçları"na genel bir atıfta bulunmak yeterli değildir; biyometrik verilere neden ihtiyaç duyduğunuzu açıkça belirtmelisiniz.
• Bilgili: İnsanlar hangi verileri topladığınızı, bunlarla ne yaptığınızı, kimlerin erişebildiğini ve ne kadar süreyle sakladığınızı bilmelidir.
• Serbestçe verilen: Kişi, olumsuz sonuçlarla karşılaşmadan reddetme hakkına sahip olmalı ve istediği zaman onayını geri çekebilmelidir.

İş ilişkisinde, son koşul sorun teşkil eder. Reddeden bir çalışan sonuçlardan korkabilir ve bu nedenle AP, çalışanın rızasının nadiren özgürce verildiği görüşündedir. Rızaya dayanan bir işveren, gerçek bir alternatifin var olduğunu ve yalnızca kağıt üzerinde değil, pratikte de sunulduğunu gösterebilmelidir.

Başka hangi istisnalar var?

Diğer istisnalar daha sınırlıdır. Aşağıdaki tabloda en önemlileri karşılaştırılmıştır.

Çalışanlar için parmak izi veya yüz taraması kullanabilir misiniz?

Biyometrik veriler yalnızca kimlik doğrulama veya güvenlik için gerçekten gerekli olduğunda ve daha az müdahaleci bir yöntem yeterli olmadığında kullanılır. Zaman kaydı, kasa veya sıradan bir ofis kapısı için bu durum genellikle geçerli değildir.

İHA Genelgesi'nin 29. Maddesi uyarınca yapılan test, amacın daha az müdahaleci yöntemlerle makul bir şekilde elde edilip edilemeyeceğidir. Bir kasaya, zaman kayıt sistemine veya ofis kapısına erişimi kontrol eden bir tarayıcı normalde bu testi geçemez, çünkü bir rozet, kod veya anahtar biyometrik veri olmadan aynı sonucu elde eder. Biyometrik erişimin kabul edildiği durumlarda, güvenlik menfaati önemli ve spesifiktir: tehlikeli madde işleyen bir tesis, güvenli bir laboratuvar, veri merkezi veya kasa.

Ayrıca, bir işçi konseyinin (ondernemingsraad) bulunduğu durumlarda, çalışanların devam durumunu, davranışlarını veya performansını kaydeden veya izleyen ya da kişisel verilerini işleyen bir sistem, İşçi Konseyleri Yasası'nın (Wet op de ondernemingsraden, WOR) 27(1)(k) ve (l) maddeleri uyarınca konseyin onayını gerektirir. GDPR'ye uyum bu gerekliliği ortadan kaldırmaz ve onay alınmadan uygulamaya konulan bir sistem itiraz konusu olabilir.

Müşteriler için biyometrik verileri kullanabilir misiniz?

Bazen, ancak aynı katı kurallar geçerlidir. Müşteriler söz konusu olduğunda, biyometrik verilerin kullanımı gerçekten isteğe bağlıysa ve eşdeğer bir alternatif mevcutsa, açık rıza geçerli bir gerekçe olabilir.

Yaygın örnekler arasında parmak iziyle bankacılık uygulamasının kilidini açma, çevrimiçi hesap açarken özçekim ile kimlik doğrulama ve yüz tanıma ile spor salonuna veya etkinliğe erişim yer almaktadır. Biyometrik doğrulama tamamen müşterinin kendi telefonunda, telefonun yerleşik teknolojisi kullanılarak yapıldığında, şirket genellikle biyometrik verileri kendisi almaz. Bu, şirket için riski ve yükümlülükleri önemli ölçüde azaltır.

Şirketin verileri kendisi işlediği durumlarda, örneğin kendi sunucularında bir özçekim fotoğrafını pasaport fotoğrafıyla karşılaştırdığı durumlarda, geçerli bir gerekçeye ihtiyacı vardır. Onay, müşterinin dezavantajlı bir durum yaşamadan banka havalesi veya şube ziyareti gibi başka bir yolu seçebilmesini gerektirir. Bankalar ve diğer finans kuruluşları için, kara para aklama karşıtı mevzuat kapsamındaki müşteri durum tespiti yükümlülükleri rol oynar, ancak bunlar kendi başlarına biyometrik işlemeyi gerektirmez.

Yüz tanıma özelliğine sahip kameralar hakkında ne düşünüyorsunuz?

Mağazalarda, stadyumlarda veya diğer halka açık yerlerde bulunan yüz tanıma kameralarının özel şahıslar için kullanılması prensip olarak yasaktır. Oradan geçen kişiler açık rıza veremez ve nadiren 29. Madde UAVG testini karşılayan bir zorunluluk söz konusudur.

AP, perakendecileri, hırsızları veya müşterileri tespit etmek için yüz tanıma teknolojisinin kullanılmasının yasak olduğu konusunda uyardı. Biyometrik tanımlama içermeyen sıradan kamera gözetimi, farklı ve daha az katı kurallara tabidir, ancak yine de meşru bir menfaat, açık bildirimler ve sınırlı saklama süreleri gerektirir. Mevcut bir kamera sistemine yüz tanıma yazılımı eklemek, değerlendirmeyi tamamen değiştirir.

Veri koruma etki değerlendirmesine ne zaman ihtiyaç duyarsınız?

Neredeyse her zaman. Kişileri tanımlamak için biyometrik verilerin işlenmesi yüksek riskli bir işlemdir ve AP (Avustralya Veri Koruma Kurumu), bunu GDPR'nin 35. maddesi uyarınca veri koruma etki değerlendirmesi (DPIA) gerektiren işlem operasyonları listesine dahil etmiştir.

Veri Koruma Etki Değerlendirmesi (DPIA), yapılandırılmış bir gizlilik risk değerlendirmesidir. Tek bir parmak izi veya yüz taraması yapmadan önce ne yapmayı planladığınızı açıklamanızı, ilgili kişiler için riskleri belirlemenizi ve bu riskleri nasıl yöneteceğinize karar vermenizi zorunlu kılar. Kalan risk yüksekse ve yeterince azaltılamıyorsa, başlamadan önce ilgili yetkili merciye danışmalısınız (GDPR Madde 36).

Veri Koruma Etki Değerlendirmesi (DPIA) yasal zemine dayanır: Öncelikle 6. Madde kapsamında bir dayanak ve 9. veya 29. Madde kapsamında bir istisna oluşturulur, ardından belirli sistemin gerekli ve orantılı olup olmadığı değerlendirilir.

Veri Koruma Etki Değerlendirmesi (DPIA) neleri içerir?

Örneğin, bir sunucu odasına erişim için kullanılan parmak izi tarayıcısını ele alalım. Veri Gizliliği Etki Değerlendirmesi (DPIA) dört unsuru kapsar.

• İşleme sürecinin açıklaması. Hangi verileri topluyorsunuz: bir şablon mu yoksa tam bir görüntü mü? Veriler nasıl toplanıyor, nerede saklanıyor, nasıl kullanılıyor ve ne zaman siliniyor? Kimlerin erişimi var? Bir tedarikçi söz konusu mu?
• Gereklilik ve orantılılık. Sunucu odasına yetkisiz erişim gibi hangi özel sorunu çözüyorsunuz? Bu durumda rozetler veya kodlar neden yeterli değil? Topladığınız veriler minimum gereksinim duyulan veriler mi?
• İlgili kişiler için riskler. Şablon veritabanı çalınırsa ne olur? Veriler daha sonra çalışma saatlerinin izlenmesi gibi başka amaçlar için kullanılabilir mi (işlev kayması)? Parmak izleri okunamayan çalışanlara ne olur? Acil bir durumda sistem yetkili bir kişiyi dışarıda bırakırsa ne olur?
• Riskleri ele almaya yönelik önlemler. Şifreleme ve kartta veya cihazda depolama gibi teknik önlemler; politika, eğitim ve ihlal müdahale planı gibi organizasyonel önlemler; ve hiç kimsenin dışlanmaması için biyometrik olmayan bir alternatif.

Veri işleme kapsamı, niteliği veya bağlamı değiştiğinde DPIA'yı gözden geçirin (GDPR Madde 35(11)). Şikayetten sonra yazılan bir analiz, AP nezdinde çok az ağırlık taşır.

Hangi güvenlik önlemlerinin alınması bekleniyor?

Mümkün olduğunca az veri toplayın, gerekenden uzun süre saklamayın ve güçlü teknik ve organizasyonel önlemlerle koruyun. Bu ilkeler, GDPR'nin 5. ve 32. maddelerinden kaynaklanmaktadır.

Veri minimizasyonu ile başlayın: yalnızca belirli ve meşru amaç için gerekli olan biyometrik verileri toplayın. Erişim kontrolü için genellikle bir şablon yeterlidir; yüksek çözünürlüklü yüz taramasına gerek yoktur. Bunu depolama sınırlamasıyla birleştirin: bir saklama süresi belirleyin ve örneğin bir çalışan ayrıldığında veya artık erişime ihtiyaç duymadığında verileri güvenli bir şekilde silin.

Teknik ve organizasyonel önlemler

Güvenlik, yüksek riskle orantılı olmalıdır. Başlıca teknik önlemler şunlardır:

• Şifreleme Biyometrik verilerin hem depolanmış halde hem de iletim halindeykenki durumu.
• Sıkı erişim kontrolleriBöylece verilere yalnızca yetkili ve açıkça ihtiyaç duyan personel erişebilecek.
• Merkezi olmayan depolamaMümkün olduğunca, şablonları merkezi bir veritabanında değil, cihazda veya kullanıcının kendi kartında saklayın. Bu, toplu veri ihlali olasılığını önemli ölçüde azaltır.

Teknoloji tek başına yeterli değildir. Biyometrik verilerle ilgili yazılı bir politika, personel eğitimi, periyodik güvenlik denetimleri ve tedarikçilerle net anlaşmalar gibi organizasyonel önlemler de aynı derecede önemlidir. Eğer bir tedarikçi verilerinizi sizin adınıza işliyorsa, GDPR Madde 28 uyarınca bir işleme sözleşmesine ihtiyacınız vardır.

Açık bir gizlilik bildirimi

İnsanlar, biyometrik verilerinin ne için kullanıldığını bilme hakkına sahiptir (GDPR Madde 13 ve 14). Bilgiler özlü, kolay bulunabilir ve sade bir dille yazılmış olmalıdır.

Biyometrik verilerin işlenmesine ilişkin bir gizlilik bildirimi, kim olduğunuzu ve sizinle nasıl iletişime geçileceğini, verileri neden işlediğinizi, 6. Madde kapsamındaki yasal dayanağı ve dayanılan istisnayı, hangi verileri topladığınızı (örneğin parmak izi şablonu), ne kadar süreyle sakladığınızı, tedarikçiler de dahil olmak üzere kimlerle paylaştığınızı ve kişilerin erişim, düzeltme, silme ve itiraz gibi hangi haklara sahip olduğunu açıklamalıdır.

Yapay Zeka Yasası da geçerli mi?

Evet, belirli biyometrik sistemler için. AB Yapay Zeka Yasası (Yönetmelik (AB) 2024/1689), GDPR'ye ek kurallar getiriyor.

2 Şubat 2025'ten itibaren, Yapay Zeka Yasası, internetten veya kamera kayıtlarından hedeflenmemiş yüz görüntüleri toplayarak yüz tanıma veritabanları oluşturmayı, iş yerinde ve eğitimde (tıbbi veya güvenlik nedenleri hariç) duygu tanımayı ve ırk veya cinsel yönelim gibi hassas özellikleri çıkarım yapmak için biyometrik sınıflandırmayı içeren bir dizi uygulamayı tamamen yasaklamıştır. Uzaktan biyometrik kimlik tespiti gibi diğer biyometrik sistemler yüksek riskli olarak sınıflandırılır ve sıkı gerekliliklere tabidir. Bir sistemi uygulamaya koymadan önce her iki çerçeveyi de kontrol edin.

Uyumsuzluğun sonuçları nelerdir?

Yüksek para cezaları, veri işlemeyi durdurma emirleri ve tazminat talepleri. GDPR, özel kategorilerin yasa dışı işlenmesi durumunda, 20 milyon euroya kadar veya dünya çapındaki yıllık cironun %4'üne kadar (hangisi daha yüksekse) para cezası uygulanmasına izin vermektedir.

Bu azami tutarlar, GDPR Madde 83(5)'ten kaynaklanmaktadır ve diğer hususların yanı sıra, geçerli bir dayanak veya istisna olmaksızın işlemeye uygulanır. Güvenlik ve ihlal bildirimi yükümlülüklerinin ihlali (GDPR Madde 32 ila 34), 10 milyon euroya kadar veya dünya çapındaki cironun %2'sine kadar para cezasına yol açabilir. Para cezaları etkili, orantılı ve caydırıcı olmalıdır. AP, kendi para cezası politikası uyarınca tutarı belirler.

AP hangi uygulamaları hayata geçirdi?

AP, yasa dışı biyometrik veri işleme nedeniyle hem işverenlere hem de teknoloji şirketlerine para cezası verdi. İki karar özellikle dikkat çekiyor.

2020 yılında Başsavcılık, çalışanların devam ve zaman kayıtları için parmak izlerini tarayan bir şirkete 725,000 euro para cezası verdi. Başsavcılık, istisnalardan hiçbirinin geçerli olmadığını tespit etti: çalışanların rızası özgürce verilmemişti ve saat kaydında kolaylık, biyometrik işlemeyi gerekli kılan bir güvenlik amacı değildi. Eylül 2024'te Başsavcılık, yasal dayanağı olmaksızın Hollandalılar da dahil olmak üzere yüz görüntülerinden oluşan bir veri tabanı oluşturduğu için Amerikan şirketi Clearview AI'ye 30.5 milyon euro para cezası verdi.

AP'nin uygulama sürecinde dört temel soru öne çıkıyor. Amaç, genel olarak "güvenlik" yerine spesifik olarak nasıl ifade ediliyor? Daha az müdahaleci yöntemlerle bu amaca ulaşılabilir mi? Rıza esas alınıyorsa, insanlar sonuçsuz bir şekilde reddedebilir mi? Ve bu, sistem uygulamaya konulmadan önce değerlendirilip belgelendi mi? Hollanda Veri Koruma Kurumu hakkındaki makalemiz , AP'nin yetkilerini daha ayrıntılı olarak açıklıyor.

Diğer sonuçlar

Para cezası tek risk değildir. Uygulama Kurumu (AP), işlemeyi durdurmanızı emredebilir; bu da operasyonlarınızın bağlı olduğu bir sistemi durdurabilir ve yasa dışı olarak toplanan verileri silmenizi emredebilir. Verileri yasa dışı olarak işlenen kişiler, GDPR'nin 82. maddesi uyarınca maddi ve manevi zararlar için tazminat talep edebilir ve Hollanda'da bu tür talepler toplu olarak da ileri sürülebilir. Kamuoyu nezdinde bir yaptırım kararının itibar kaybı önemli olabilir.

Biyometrik veriler sızdırılırsa ne yaparsınız?

Güvenlik ihlalini kontrol altına alın, riski değerlendirin, 72 saat içinde yetkili mercilere bildirin ve risk yüksekse, etkilenen kişileri gecikmeden bilgilendirin. Herhangi bir sorun yaşanmadan önce bunu bir müdahale planına dahil edin.

GDPR Madde 33 uyarınca, kişisel veri ihlalini, ihlalin ilgili kişiler için risk oluşturması muhtemel değilse, ihlalden haberdar olduktan sonra gecikmeksizin ve mümkünse 72 saat içinde AP'ye bildirmeniz gerekmektedir. Bildirimde, ihlalin niteliği, etkilenen kişi ve kayıt kategorileri ve yaklaşık sayısı, olası sonuçlar ve alınan veya önerilen önlemler açıklanmalıdır. Tüm bilgileri bir kerede sağlayamıyorsanız, daha sonra tamamlayabilirsiniz.

Adım 1: İhlali kontrol altına alın ve etkisini değerlendirin.

Önceliğiniz ihlali durdurmak olmalı. Etkilenen sistemleri izole edin, soruşturma için kayıtları ve diğer kanıtları saklayın ve hangi verilerin etkilendiğini (ham görüntüler veya şifrelenmiş şablonlar) ve kimlere ait verilerin etkilendiğini tam olarak belirleyin.

Adım 2: Etkilenen kişileri bilgilendirip bilgilendirmemeye karar verin.

GDPR'nin 34. maddesi uyarınca, ihlalin hak ve özgürlükleri için yüksek risk oluşturması muhtemel ise, etkilenen kişileri gecikmeksizin bilgilendirmeniz gerekir. Biyometrik verilerde bu eşik genellikle karşılanır, çünkü veriler değiştirilemez. İstisna, örneğin, güçlü bir şekilde şifrelenmiş ve anahtarı ele geçirilmemiş verilerdir. Mesaj açık ve anlaşılır bir dilde olmalıdır: Ne oldu, hangi veriler etkilendi ve insanlar kendilerini korumak için ne yapabilirler.

3. Adım: Müdahaleyi gerçekleştirin ve belgeleyin.

Her adımı kaydedin: keşif anı, alınan kararlar, iletişimler ve teknik önlemler. GDPR Madde 33(5) uyarınca, bildirmek zorunda olmadığınız ihlaller de dahil olmak üzere her ihlali belgelemeniz gerekir. İyi bir belgeleme, yetkili mercilere dikkatli davrandığınızı gösterir ve davanın değerlendirilmesini etkileyebilir.

İşveren veya şirket olarak neleri kontrol etmelisiniz?

Öncelikle gerekliliği kontrol edin ve sistem devreye alınmadan önce her adımı belgeleyin. Bu beş kontrol, AP'nin incelediği noktaları kapsar.

• Güvenlik amacını ve neden rozet, PIN kodu veya anahtarın yeterli olmadığını açıkça belirtin (UAVG Madde 29).
• GDPR Madde 6 kapsamındaki yasal dayanağınızı ve GDPR Madde 9(2) veya UAVG Madde 29 kapsamındaki istisnayı kaydedin.
• İlk taramadan önce Veri Koruma Etki Değerlendirmesini (DPIA) tamamlayın ve yüksek risk devam ediyorsa ilgili yetkiliye danışın (GDPR Madde 35 ve 36).
• Sistemi uygulamaya koymadan önce, İşçi Hakları Yönetmeliği'nin 27(1)(k) ve (l) maddeleri uyarınca işçi konseyinden onay isteyin.
• Tedarikçiyle bir veri işleme sözleşmesi imzalayın (GDPR Madde 28) ve şablonlar için bir saklama süresi belirleyin.

Çalışan veya müşteri olarak neleri kontrol etmelisiniz?

Biyometrik verilerinizin nasıl kullanıldığını bilme ve yasa dışı işlenmesine itiraz etme hakkına sahipsiniz. Parmak izi veya yüz taraması yapmanız istendiğinde bu noktalara dikkat edin.

• Biyometrik olmayan bir alternatif var mı, örneğin rozet veya PIN kodu gibi, ve bunu dezavantajsız kullanabilir miyim?
• Gizlilik bildiriminde amaç, yasal dayanak ve saklama süresi belirtiliyor mu (GDPR Madde 13 ve 14)?
• İşvereninizin bir işçi temsilciliği kurulu varsa, bu kurul sisteme onay verdi mi (İşyeri Hakları Kanunu Madde 27)?
• Verilerinize erişim veya verilerinizin silinmesini talep edin; kuruluş bir ay içinde yanıt vermek zorundadır (GDPR Madde 12, 15 ve 17).
• Haklarınız ihlal edilirse, AP'ye şikayette bulunun (GDPR Madde 77) veya GDPR Madde 82 uyarınca tazminat talep edin.

Biyometrik verilerinizle sizin için neler yapabiliriz?

Bilişim hukuku avukatlarımız , ilk planlamadan Temyiz Mahkemesi'ndeki yargılamalara kadar biyometrik sistemler konusunda işverenlere, teknoloji şirketlerine ve bireylere destek vermektedir.

• Biyometrik sisteminizin İHA Kanunu'nun 29. maddesindeki gereklilik şartını karşılayıp karşılamadığını değerlendiriyoruz.
• Veri koruma etki değerlendirme belgesini ve gizlilik bildirimini hazırlıyor veya inceliyoruz.
• İşçi Temsilciler Meclisi'ne sunulacak onay talebini, İşçi Temsilciler Meclisi Yönetmeliği'nin 27. maddesi uyarınca hazırlıyoruz.
• Tedarikçinizle yaptığınız veri işleme sözleşmesini GDPR Madde 28 uyarınca inceliyoruz.
• Veri ihlalini 72 saatlik süre içinde AP'ye bildirmenize ve AP'nin yaptırımlarına yanıt vermenize yardımcı oluyoruz.

ÖZET

• Benzersiz kimlik tespiti için kullanılan biyometrik veriler, GDPR Madde 9 uyarınca özel bir kategori oluşturmaktadır; istisnai bir durum söz konusu olmadığı sürece işlenmesi yasaktır.
• Hollanda'da, İHA Kanunu'nun 29. maddesi, buna yalnızca kimlik doğrulama veya güvenlik için gerekli olduğu durumlarda izin verir; kolaylık tek başına yeterli değildir.
• Çalışanların onayı nadiren geçerlidir; gerçek, biyometrik olmayan bir alternatif sunun ve gerektiğinde işçi temsilciler kurulunun onayını alın.
• Veri gizliliği etki değerlendirmesini (DPIA) önceden gerçekleştirin, verileri en aza indirin, şablonları yerel olarak saklayın ve şifreleyin.
• İhlalleri 72 saat içinde AP'ye bildirin; para cezaları 20 milyon euroya veya dünya çapındaki cironun %4'üne kadar ulaşabilir.

Sık Sorulan Sorular